Der norwegische Sicherheitsforscher Håkon Måløy hat eine Schwachstelle in Microsoft 365 Copilot für Word offengelegt, die sich wie ein Computerwurm selbst verbreitet. Versteckter Text in einem Dokument bringt Copilot dazu, Inhalte zu verändern und die Schadanweisung in neu erstellte Dateien zu kopieren. Microsoft kennt das Problem seit 144 Tagen und hat es bislang nicht vollständig geschlossen.
Weißer Text lässt Copilot Inhalte heimlich verändern
Måløy nennt die Technik Cross-Domain Prompt Injection: Angreifer verstecken Anweisungen als weißen Text auf weißem Hintergrund in einer Word-Datei. Öffnet jemand das Dokument mit Copilot, etwa um daraus einen Bericht zu erstellen, liest die KI den unsichtbaren Text als Teil des Auftrags und nicht als fremden Inhalt. In einer Demonstration änderte Copilot dabei still Finanzzahlen in einem Bericht und kopierte die versteckte Anweisung in die neu erzeugte Datei.
Diese neue Datei wird zum nächsten Überträger: Sobald jemand anderes sie in einem weiteren Copilot-Vorgang verwendet, aktiviert sich die Anweisung erneut und wandert in das nächste Dokument. Ein Angreifer muss also nur eine einzige präparierte Datei in Umlauf bringen, etwa per E-Mail-Anhang oder geteiltem Ordner.
Aus Verantwortung gegenüber betroffenen Unternehmen veröffentlichte Måløy weder den genauen Wortlaut der Schadanweisung noch ein fertiges Angriffsskript. Er begründet das damit, dass für die gesamte Schwachstellenklasse bislang keine robuste Abwehr existiert und ein vollständiges Rezept das Risiko unnötig vergrößern würde.
Zwei Mitigationsversuche scheitern in 144 Tagen
Måløy meldete den Fehler am 6. März 2026 an das Microsoft Security Response Center, das die Schwachstelle Ende März bestätigte. Ein erstes Update Anfang April schloss zunächst nur die ursprüngliche Beispiel-Anweisung, ließ sich mit umformulierten Prompts aber erneut auslösen. Microsoft bat im Juni um zusätzliche Zeit und verschob die für den 8. Juni geplante Veröffentlichung auf den 15. Juli. Auch ein Modell-Upgrade auf GPT-5.5 änderte daran laut Måløy nichts: Zwei Wochen vor der schließlich am 28. Juli erfolgten Veröffentlichung funktionierte der Angriff eigenen Tests zufolge weiterhin mit GPT-5.6.
Microsoft erklärte gegenüber CSO Online, man habe die gemeldeten Befunde adressiert und setze auf eine mehrschichtige Verteidigungsstrategie, die schädliche Anweisungen an mehreren Stellen blockieren solle. Eine vollständige technische Lösung für die zugrunde liegende Schwachstellenklasse nennt das Unternehmen nicht. Måløy hält das Problem für architektonisch bedingt und sieht es in praktisch allen promptbasierten KI-Systemen angelegt – trotz der KI-gestützten Schwachstellensuche, die Microsoft erst im Juli für Windows ausgebaut hatte.
Unternehmen mit Copilot-Workflows tragen das Risiko
Betroffen ist grundsätzlich jede Organisation, die Copilot in Word für Berichte, Verträge oder interne Richtlinien nutzt – die Angriffskette benötigt lediglich ein einziges eingeschleustes Dokument. Bislang ist der Angriff nach übereinstimmenden Berichten mehrerer Sicherheitsmedien ein reiner Machbarkeitsnachweis, ein realer Vorfall in freier Wildbahn ist nicht bekannt. Microsoft rät, aktuelle Updates einzuspielen, mehrere Schutzebenen zu kombinieren, Dokumente unbekannter Herkunft mit Vorsicht zu behandeln und von Copilot erzeugte Inhalte vor der Weitergabe zu prüfen.
Es ist bereits der dritte Teil seiner Serie “Context Collapse”: Im ersten Teil zeigte Måløy Gedächtnis-Manipulation in Copilot, im zweiten unter der Kennung CVE-2026-55145 Prompt-Injection über E-Mail-Texte in Outlook Copilot, wofür Microsoft inzwischen wirksamere Schutzmaßnahmen fand. Bei der jetzigen Word-Variante gelang das bislang nicht. Die Serie zeigt ein wiederkehrendes Muster: Copilot unterscheidet in seinen bisherigen Versionen kaum zwischen vertrauenswürdigen Nutzeranweisungen und Text, der aus fremden Dateien oder Nachrichten stammt.
Offen bleibt, ob sich Cross-Domain Prompt Injection technisch vollständig verhindern lässt, solange Assistenten wie Copilot jeden Text in einem Dokument gleichermaßen als möglichen Befehl lesen. Bis eine strukturelle Lösung vorliegt, verlagert sich die Verantwortung faktisch auf Unternehmen, die ihre Dokumenten-Workflows selbst absichern müssen.
